Elasticsearch如何开启安全特性

wen 网络安全 2026-07-17 1

Elasticsearch如何开启安全特性：从零构建企业级集群防护体系

目录导读

为什么Elasticsearch需要开启安全特性？
安全特性核心组件解析
基础环境准备与版本确认
开启安全特性的完整步骤
常见问题与解决方案（FAQ）
性能与安全的平衡优化建议
构建安全集群的黄金法则

为什么Elasticsearch需要开启安全特性？

在笔者的技术咨询经历中,超过60%的Elasticsearch用户初期只关注检索性能，直到遭遇数据泄露或未授权访问才追悔莫及。Elasticsearch默认以HTTP明文传输，未配置安全时任何能访问9200端口的人均可通过REST API执行任意操作——包括删除索引、导出用户数据，开启安全特性不仅是合规要求（如GDPR、PCI-DSS），更是保障业务连续性的基石。

Elasticsearch如何开启安全特性

核心价值：

认证（Authentication）：防止匿名用户登录
授权（Authorization）：精细控制索引/文档级别的读写权限
加密传输（TLS/SSL）：杜绝中间人攻击窃取数据
审计日志（Audit Logging）：追踪所有API请求来源

安全特性核心组件解析

Elastic Stack安全体系由以下模块协同工作：

组件	功能	默认状态
Security	认证、授权、角色管理	基础版免费，需手动启用
TLS/SSL	节点间及HTTP传输加密	需配置证书
API密钥	用于程序化访问的令牌	可选替代密码认证
活跃目录/ LDAP	集成企业身份系统	需白金版许可证
Audit	记录安全事件到专用索引	可配置日志级别

注意：Elasticsearch基础版（免费）支持TLS加密、文件内用户认证、角色权限控制，白金版才支持单点登录、字段级安全性等高阶功能。

基础环境准备与版本确认

系统要求：

Elasticsearch 6.8+（推荐7.x或8.x）
Java 8以上（与Elasticsearch版本匹配）
至少1个节点用于测试,生产建议3节点以上

确认版本支持：

curl -X GET "localhost:9200"

返回信息中若显示“version” : “7.17.0”，则安全特性完全可用。

停止所有节点服务（配置安全需重启集群）：

systemctl stop elasticsearch  # 或 kill 进程ID

开启安全特性的完整步骤

步骤1：生成TLS证书

使用Elasticsearch内置的elasticsearch-certutil工具：

# 在ES安装目录的bin下执行
./elasticsearch-certutil cert -out /etc/elasticsearch/certs/elastic-certificates.p12 -pass "YourPassword"

参数说明：

-out：指定证书输出路径
-pass：设置证书密码（生产环境建议使用复杂密码）

步骤2：配置所有节点使用相同证书

将生成的elastic-certificates.p12文件复制到每个节点的/etc/elasticsearch/certs/目录。

步骤3：修改`elasticsearch.yml`配置

在每个节点的配置文件中追加以下内容：

# 启用安全特性
xpack.security.enabled: true
# 传输层加密（节点间通信）
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: /etc/elasticsearch/certs/elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: /etc/elasticsearch/certs/elastic-certificates.p12
# HTTP层加密（客户端连接）
xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.keystore.path: /etc/elasticsearch/certs/elastic-certificates.p12
xpack.security.http.ssl.truststore.path: /etc/elasticsearch/certs/elastic-certificates.p12

注意：若使用PEM格式证书，需分别配置certificate和key路径。

步骤4：为证书配置节点密码

创建elasticsearch-keystore存储敏感信息：

./elasticsearch-keystore add xpack.security.transport.ssl.keystore.secure_password
# 输入步骤1设置的密码
./elasticsearch-keystore add xpack.security.transport.ssl.truststore.secure_password
# 输入相同密码

步骤5：启动节点并初始化用户密码

启动所有节点后,在第一个启动的节点上执行：

./elasticsearch-setup-passwords auto

系统会为elastic、kibana_system等内置用户生成随机密码，务必保存。

或使用interactive模式手动设置密码：

./elasticsearch-setup-passwords interactive

步骤6：验证安全配置

# 使用HTTPS协议并指定用户名密码
curl -u elastic:yourpassword -k "https://localhost:9200"

返回集群信息即表示安全特性正常运行。

常见问题与解决方案（FAQ）

Q1：开启安全后，Logstash/Beats无法连接怎么办？
A：需在输出端配置SSL证书，例如Logstash的output配置：

output {
  elasticsearch {
    hosts => ["https://your-es-node:9200"]
    user => "elastic"
    password => "yourpassword"
    ssl => true
    cacert => "/path/to/ca.crt"
  }
}

Q2：内置用户elastic密码丢失如何重置？
A：修改elasticsearch.yml添加：

xpack.security.authc.password_hashing.algorithm: bcrypt

然后重启节点,使用elasticsearch-reset-password -u elastic重置（需集群所有节点在线）。

Q3：开启安全后性能下降明显怎么办？
A：检查以下配置：

降低TLS会话缓存超时：renegotiation_allowed: false
使用硬件加速（如果CPU支持AES-NI指令集）
将审计日志输出到独立磁盘

Q4：如何只开启传输层加密，不开启HTTP加密？
A：将xpack.security.http.ssl.enabled设为false，但强烈不推荐，至少应在生产环境使用反向代理（如Nginx）处理HTTPS。

Q5：客户端提示“PKIX path building failed”错误？
A：这是证书信任链问题，在客户端JVM导入CA证书：

keytool -import -alias elastic-ca -keystore $JAVA_HOME/lib/security/cacerts -file ca.crt

性能与安全的平衡优化建议

缓存策略：对于高并发读取场景，启用xpack.security.authc.cache.ttl（如设置30分钟）减少认证请求次数。

审计日志：仅在必要时开启，并配置为”仅记录失败尝试”，避免写入放大，推荐配置：

xpack.security.audit.enabled: true
xpack.security.audit.logfile.events.include: ["access_denied", "authentication_failed"]

节点角色分离：将专用主节点（node.master: true）与数据节点（node.data: true）隔离，减少TLS握手开销。

使用API Key替代密码：对于应用程序调用，生成有效期短、权限有限的API Key，降低泄露风险：

curl -u elastic:pass -X POST "https://localhost:9200/_security/api_key" -H "Content-Type: application/json" -d '{"name":"app-key","role_descriptors":{"app_role":{"cluster":["monitor"],"indices":[{"names":["app-logs-*"],"privileges":["read"]}]}}}'

构建安全集群的黄金法则

最小权限原则：每个用户/应用只授予必要的索引和操作权限
加密所有通信：包括节点间、集群与客户端之间
定期轮换证书：建议证书有效期不超过1年
隔离网络：使用防火墙限制9200端口仅允许受信任IP访问
开启审计日志：保留至少90天以便追溯

开启Elasticsearch安全特性并非一次性工作,而是需要持续维护的体系，对于生产环境，建议结合WAF（Web应用防火墙）和网络安全组形成多层防护，当你在终端看到curl -u elastic:xxx -k https://localhost:9200返回正常状态码时，恭喜——你已经迈出了构建企业级搜索集群最关键的一步。

Elasticsearch如何开启安全特性